Choisir un cabinet d'audit cybersécurité : 12 critères

Le marché français de l'audit cybersécurité compte plus de 200 prestataires. Tous ne se valent pas. Voici les 12 critères concrets pour évaluer un cabinet avant de signer.

Les 12 critères à vérifier

1. Certifications des testeurs

Vérifiez que les personnes qui feront l'audit ont des certifications reconnues :

• OSCP (Offensive Security Certified Professional) : référence pentest web/réseau
• OSWE (Offensive Security Web Expert) : spécialisation web
• CEH (Certified Ethical Hacker) : bases du pentesting
• CRTP (Certified Red Team Professional) : Active Directory
• GPEN (GIAC Penetration Tester) : certif SANS
• PNPT (Practical Network Penetration Tester) : TCM Security

Red flag : le prestataire n'a AUCUNE certification, ou parle de "consultants seniors" sans préciser.

2. Méthodologie documentée

Un cabinet sérieux publie sa méthodologie :

• OWASP Testing Guide v4.2 : standard web applicatif
• PTES (Penetration Testing Execution Standard) : 7 phases
• OSSTMM : méthodologie ouverte
• NIST SP 800-115 : standard US reconnu
• CHECK (UK) : méthodologie NCSC

Red flag : "méthode propriétaire maison" sans détail.

3. Rapport signé cryptographiquement

Le rapport doit être :

• Signé SHA-256 (hash vérifiable cryptographiquement)
• PDF non éditable après signature
• Transmissible à un tiers (DPO, assureur, RSSI externe)

Red flag : "rapport Word modifiable" ou simple PDF sans signature.

4. NDA avant tout échange technique

Le cabinet doit signer un accord de confidentialité (NDA) avant tout échange d'informations sur votre SI. C'est une obligation RGPD.

Red flag : "on commence par un audit, on signe le NDA après".

5. Retest inclus

Le retest (vérification des corrections sous 30-90 jours) doit être inclus dans le devis. Sans retest, les corrections ne sont pas validées.

Red flag : "retest facturé séparément 2 000 €".

6. Références clients vérifiables

Le cabinet doit pouvoir vous donner des références clients :

• Anonymisées (sauf accord spécifique)
• Avec chiffres clés (nb vuln critiques, secteurs)
• Avec témoignages (LinkedIn, Google Reviews)

Red flag : "on a 500 clients" sans aucune référence nommable.

7. Assurance responsabilité civile professionnelle (RC Pro)

Le cabinet doit avoir une RC Pro cyber qui couvre les erreurs commises pendant l'audit (ex: secret divulgué).

Couverture typique : 1-5 M€.

8. Pas de lock-in

Le rapport doit être transmissible librement à votre DPO, RSSI externe, assureur, ou futur prestataire. Si le cabinet essaie de garder la propriété exclusive du rapport → red flag.

9. Délais de livraison clairs

Le cabinet doit s'engager sur :

• Délai de cadrage (1-2 jours)
• Durée des tests (3-7 jours)
• Délai de livraison du rapport (5-10 jours)
• Délai du retest (30-90 jours après corrections)

10. Équipe dédiée (pas de sous-traitance en cascade)

Le cabinet doit garantir que l'audit est réalisé par l'équipe interne, pas sous-traité à un freelance low-cost à l'étranger.

Red flag : "notre réseau de partenaires internationaux".

11. Support post-audit

Le cabinet doit proposer :

• Réunion de restitution (1h, présentiel ou visio)
• Support 6-12 mois (questions, guidance)
• Mise à jour du rapport (si nouvelles CVE)
• Accès à un RSSI externalisé (option)

12. Conformité NIS2 + RGPD documentée

Le cabinet doit :

• Être en conformité RGPD lui-même (registre des traitements)
• Connaître NIS2 et pouvoir attester votre conformité
• Supprimer toutes les données collectées sous 30 jours après l'audit
• Vous fournir une attestation de destruction des données

Processus de sélection en 4 étapes

Étape 1 : Identification des candidats

Sources :

• Google : "audit cybersécurité France" + votre ville/région
• LinkedIn : "pentester" + "France" + certifications OSCP/CEH
• Annuaires : LeBonLogiciel, Indexa.fr
• Bouche-à-oreille : votre réseau pro
• LinkedIn Sales Navigator : cible pentesters en France

Cible : 5-8 candidats

Étape 2 : Shortlist et demande de devis

Demande à 3-4 cabinets avec le même brief :

• Périmètre précis (URLs, applications, infrastructure)
• Type d'audit souhaité (externe, pentest, web, cloud)
• Livrables attendus (rapport signé, retest, restitution)
• Budget indicatif (sans engagement)
• Délais souhaités

Étape 3 : Évaluation des devis

Compare avec une grille :

Étape 4 : Appel de qualification

Un call de 30 min avec les 2-3 meilleurs candidats :

• Présentez votre contexte
• Évaluez la réactivité, la pertinence des questions
• Demandez des références
• Vérifiez les certifications (présentation des CV)

Puis sélectionnez et signez.

Red flags absolus

• Devis sans NDA préalable
• Devis sans détail de méthodologie
• Devis à 500 € pour 5 sites (scam probable)
• "Méthode propriétaire maison" (inconnu au bataillon)
• Aucune certification des testeurs
• Pas de retest inclus
• Sous-traitance en cascade low-cost
• Pas de RC Pro cyber

Questions à poser en entretien

1. Quel est votre processus pour gérer une vulnérabilité critique découverte pendant l'audit ?
2. Pouvez-vous me montrer un exemple anonymisé de rapport ?
3. Qui fait l'audit concrètement ? (noms, certifications)
4. Que se passe-t-il si vous découvrez une faille critique sur un système non-couvert par le périmètre ?
5. Comment gérez-vous les sous-traitances ?
6. Quel est votre taux de faux positifs ?
7. Combien de temps pour le rapport ? (engagement contractuel)
8. Avez-vous une RC Pro cyber ? (montant)
9. Que se passe-t-il si on trouve une faille après le retest ?

FAQ — Choisir un cabinet d'audit

Comment reconnaître un cabinet d'audit cybersécurité sérieux ?

Un cabinet d'audit cybersécurité sérieux présente : (1) une méthodologie documentée (OWASP, PTES, OSSTMM), (2) des testeurs certifiés (OSCP, CEH, CRTP), (3) un rapport signé cryptographiquement (SHA-256), (4) une NDA signée avant tout échange, (5) un retest inclus, (6) des références clients vérifiables, (7) une assurance responsabilité civile professionnelle. Un devis inférieur à 1 000 € pour un audit complet est un red flag.

Conclusion

Choisir un cabinet d'audit cybersécurité ne se fait pas au hasard ni au prix le plus bas. Les 12 critères ci-dessus sont votre grille de sélection. Privilégiez la qualité, les certifications, et la transparence sur le prix.

Demandez votre devis personnalisé Kerndyne. Réponse sous 24h.